Insights und benutzerdefinierte Finding-Aktionen

Eine lange Liste normalisierter Funde lässt sich trotzdem nur schwer bearbeiten. Security Hub bietet zwei Werkzeuge, um daraus gezielte Maßnahmen abzuleiten: insights, die zusammengehörige Funde gruppieren, und custom actions, mit denen Sie Workflows aus ausgewählten Funden heraus auslösen können.

Ein insight in Security Hub ist eine gespeicherte Gruppierung von Funden, die durch einen Filter und ein Attribut für die Gruppierung ("group by") festgelegt wird. So kann ein Insight beispielsweise aktive Funde nach Ressource gruppieren und sichtbar machen, welche Ressourcen die meisten Probleme aufweisen. Insights machen Muster sichtbar, die einzelne Funde verbergen.

Security Hub wird standardmäßig mit managed insights ausgeliefert, etwa "AWS resources with the most findings" oder "S3 buckets with public access". Diese vordefinierten Gruppierungen liefern sofort einen Nutzen und zeigen Problembereiche auf, ohne dass Sie etwas konfigurieren müssen.

Sie können auch custom insights erstellen, die auf Ihre Anforderungen zugeschnitten sind, nach einem beliebigen ASFF-Feld filtern und nach einem anderen gruppieren. Ein Team könnte beispielsweise einen Insight für Funde mit hohem Schweregrad erstellen, gruppiert nach Konto, und so die Aufmerksamkeit genau auf die Bereiche mit dem größten Risiko lenken.

Gruppierung verwandelt eine unübersichtliche Datenmenge in Prioritäten. Statt durch Tausende von Funden zu scrollen, zeigt Ihnen ein Insight: "Diese fünf Ressourcen sind für den größten Teil des Risikos verantwortlich." Dadurch konzentriert sich die Behebung auf Maßnahmen mit der größten Wirkung – genau die Priorisierung, auf die es in der Prüfung ankommt.

Eine custom action in Security Hub ist ein benannter Trigger, den Sie an Funde anhängen. Wenn ein Analyst Funde auswählt und diese Aktion verwendet, sendet Security Hub ein Ereignis an EventBridge. Damit wird die Verbindung zwischen manueller Triage und automatisierter Reaktion hergestellt.

Jede benutzerdefinierte Aktion verfügt über eine eigene ARN und erzeugt ein EventBridge-Ereignis, das die ausgewählten Funde enthält. Eine EventBridge-Regel leitet dieses Ereignis anschließend an ein Ziel weiter, beispielsweise eine Lambda-Funktion, einen Step Functions-Workflow oder eine Ticketing-Integration, um Maßnahmen zur Behebung einzuleiten oder den Vorgang zu eskalieren.

Custom actions ermöglichen eine analyst-initiated Reaktion: Ein Mensch prüft den Fund und löst anschließend per Klick die Behebung aus. Für eine vollständig automatische Reaktion ordnen Sie Funde stattdessen direkt über EventBridge-Regeln zu, sodass die Aktion ohne menschliches Eingreifen erfolgt. Wenn Sie beide Muster kennen, können Sie das passende auswählen.

Security Hub bietet außerdem automation rules, die Funde automatisch aktualisieren, beispielsweise den Schweregrad erhöhen oder den Workflow-Status ändern, wenn bestimmte Kriterien erfüllt sind. Diese Regeln verfeinern den Fundstrom, bevor er einen Analysten oder eine nachgelagerte Automatisierung erreicht.

Automatisierungsregeln werden aktiv, wenn ein Fund definierte criteria für ASFF-Felder erfüllt. Anschließend wenden sie Änderungen an, etwa das Festlegen des Schweregrads, das Aktualisieren des Workflow-Status oder das Hinzufügen einer Notiz. Eine Regel könnte beispielsweise Funde mit niedrigem Schweregrad aus einem bekannten Testkonto automatisch unterdrücken. So wird der Fundstrom einheitlich verfeinert, bevor Analysten oder nachgelagerte Automatisierungen ihn überhaupt sehen.

Um zwischen den Mustern zu wählen, fragen Sie sich, ob zuerst ein Mensch prüfen soll. Custom actions eignen sich für reaktionsintensive Fälle, die ein Analyst initiiert; direct EventBridge rules eignen sich für eindeutige Funde in großer Zahl, die ohne Wartezeit sofort behoben werden sollen. Viele Teams kombinieren beides: Das Offensichtliche wird automatisch behoben, während unklare Fälle über Custom Actions an Analysten weitergeleitet werden.

Verbinden Sie Funde mit einer Reaktion.

Security-Hub-insights gruppieren Funde nach einem Filter und einem Attribut (verwaltet oder benutzerdefiniert), um sichtbar zu machen, wo sich Risiken konzentrieren. Mit custom actions kann ein Analyst ausgewählte Funde zur Reaktion an EventBridge senden. Direkte EventBridge-Regeln ermöglichen eine vollständig automatische Behebung, während automation rules Funde automatisch aktualisieren. Zusammen verwandeln sie aggregierte Funde in Workflows.